Déconnexion initiée par le RP et déconnexion SSO dans OpenID Connect : comment Casdoor déconnecte les utilisateurs
Déconnecter un utilisateur d'une application OpenID Connect nécessite plus que la suppression de votre propre cookie de session. L'utilisateur est toujours connecté au fournisseur d'identité, donc le prochain clic sur "Sign in" passe directement sans mot de passe, et les autres applications partageant cette session du fournisseur d'identité restent également connectées. Une déconnexion correcte comprend trois parties : effacer la session locale de votre application, envoyer le navigateur vers l'end_session_endpoint du fournisseur (déconnexion initiée par le RP) pour mettre fin à la session du fournisseur, et permettre au fournisseur d'informer les autres applications via la déconnexion back-channel. Avec Casdoor, l'endpoint de fin de session est /api/logout, la déconnexion back-channel est configurée par application, et les jetons de rafraîchissement peuvent être révoqués via /api/login/oauth/revoke.